Anhoren
Teilen
Schwachstellen wird es immer geben, doch sorgt die KI dafür, dass Cyberkriminelle sie künftig noch schneller ausnutzen können. Daher wird es auf der anderen Seite ebenfalls Zeit, die Reaktionszeiten zu verkürzen, mahnt Cybersecurity-Experte und Autor der IT-Station Thomas Bail.
Sechs Zero-Day-Schwachstellen in Windows. Öffentlich diskutiert, teilweise mit Proof-of-Concepts, begleitet von einem Streit über den richtigen Weg der Offenlegung. Microsoft spricht von unkoordinierter Disclosure, der Sicherheitsforscher widerspricht. Für Unternehmen ist in diesem Moment fast zweitrangig, wer recht hat. Entscheidend ist etwas anderes: Der Zeitpuffer schrumpft.
Auf der Verteidigerseite beginnt sofort der bekannte Ablauf: Was ist betroffen? Gibt es einen Patch? Welche Systeme sind exponiert? Welche Maßnahme ist technisch möglich, ohne den Betrieb zu gefährden? Wer entscheidet? Wer setzt um? Und was passiert, wenn ein Angriff schneller ist als der eigene Prozess? Genau hier verändert künstliche Intelligenz die Cybersecurity. Nicht, weil plötzlich alles anders ist. Nicht, weil Schwachstellen erst durch KI entstehen. Der Angreifer braucht weiterhin nur einen erfolgreichen Einstieg. Der Verteidiger muss weiterhin dauerhaft viele Dinge richtig machen. Der entscheidende Faktor ist Zeit.
Puffer schwindet
Cybersecurity hatte lange einen stillen Verbündeten: die Zeit. Nicht viel, nicht verlässlich, aber oft genug einen kleinen Vorsprung. Eine Schwachstelle wurde veröffentlicht, bevor sie breit ausgenutzt wurde. Ein Angreifer musste recherchieren, testen und anpassen. Verteidiger konnten prüfen, priorisieren und reagieren. Dieser Puffer wird kleiner.
Das ist nicht nur ein Gefühl. Mandiant hat die sogenannte Time-to-Exploit über mehrere Jahre betrachtet. 2018 und 2019 lag sie im Durchschnitt noch bei 63 Tagen. Danach sank sie auf 44, dann auf 32 Tage. Für 2023 wurden nur noch fünf Tage beobachtet. Im aktuellen M-Trends-Bericht wird die mittlere Time-to-Exploit sogar mit minus sieben Tagen angegeben. Das bedeutet: In relevanten Fällen beginnt die Ausnutzung, bevor Verteidiger überhaupt einen regulären Patch-Prozess starten können.
Früher war Patchmanagement ein Wettlauf. Heute startet der Angreifer manchmal vor dem Startschuss. Und KI ist nicht der Ursprung dieser Entwicklung. Angreifer wurden auch ohne KI schneller. Schwachstelleninformationen sind besser verfügbar, Exploits werden schneller geteilt, Scans laufen automatisiert. Aber KI ist der nächste Beschleuniger. Sie hilft beim Suchen, Analysieren, Kombinieren, Testen und Automatisieren. Sie macht aus einem knappen Zeitfenster ein noch knapperes.
Das Richtige früher tun
Zeit war nie eine Sicherheitsstrategie. Sie war ein Puffer. Wenn KI diesen Puffer verkürzt, müssen Unternehmen nicht alles schneller machen. Sie müssen das Richtige früher tun. Project Glasswing von Anthropic zeigt, was auf der Verteidigerseite möglich wird. Mit Claude Mythos Preview werden Schwachstellen in großem Umfang gefunden – auch solche, die schon lange im Code vorhanden waren und bisher nicht entdeckt wurden. Das ist zunächst eine gute Nachricht. Wenn Fehler früher sichtbar werden, können sie früher behoben werden. Aber genau darin steckt die unbequeme Wahrheit: Die Schwachstellen sind nicht durch KI entstanden. Sie waren schon da. KI macht sie nur schneller sichtbar.
Damit lautet die Frage nicht mehr nur: Finden wir die Schwachstelle? Sondern: Können wir sie schnell genug verifizieren, bewerten, an die zuständigen Teams übergeben, beheben, testen und die Korrektur in die Produktion bringen?
Das Gegenstück zu Glasswing ist MOAK, die „Mother of All KEVs“. KEV steht für Known Exploited Vulnerabilities, also bekannte, bereits ausgenutzte Schwachstellen. Die veröffentlichten Zahlen muss man vorsichtig einordnen. Entscheidend ist, was MOAK zeigt: KI kann helfen, Schwachstelleninformationen zu sammeln, Testumgebungen aufzubauen, Varianten zu erzeugen und den Weg zur praktischen Ausnutzung zu verkürzen. Was früher manuelle Recherche, Erfahrung und Zeit erforderte, kann zumindest teilweise in agentische Workflows wandern. Die Ausnutzung wird nicht automatisch trivial. Aber sie wird wiederholbarer, billiger und schneller.
Ungleiche Bedingungen
Glasswing zeigt die Hoffnung. MOAK zeigt die Bedrohung. Beide erzählen dieselbe Geschichte: Der Zeitpuffer verschwindet. Oft wird gesagt: Wenn Angreifer KI nutzen, nutzen Verteidiger eben auch KI. Also entsteht ein Patt. Das klingt beruhigend, ist aber zu einfach. Beide Seiten haben nicht dieselben Bedingungen. Anbieter wie OpenAI oder Anthropic regulieren den Zugang zu besonders leistungsfähigen Cyber-Fähigkeiten. Das ist richtig und notwendig, weil dieselben Fähigkeiten, die Verteidigern helfen, auch missbraucht werden können.
Ein Verteidiger muss prüfen, ob ein Modell datenschutzkonform eingesetzt werden kann, ob Ergebnisse nachvollziehbar sind und ob der Einsatz den eigenen Compliance-, Sicherheits- und Governance-Anforderungen entspricht. Ein Angreifer hat diese Grenze nicht. Er sucht nicht das verantwortungsvollste Werkzeug, sondern das wirksamste. Wenn ein Modell blockiert, sucht er ein anderes. Wenn es ungenau ist, versucht er es erneut. Ob das Modell sauber trainiert wurde, ethische Grenzen einhält oder transparent arbeitet, spielt für ihn keine Rolle.
Die Guten brauchen kontrollierbare KI. Die Angreifer brauchen nur brauchbare KI. KI beschleunigt beide Seiten, aber nicht unter gleichen Bedingungen. Die Verteidiger müssen schnell, legal, nachvollziehbar und verantwortbar sein. Die Angreifer müssen nur schnell sein. Die Antwort darauf kann nicht lauten, jetzt überall blind KI einzuführen. Wer seine Prozesse nicht beherrscht, automatisiert im Zweifel nur das Chaos. Mehr Tools ersetzen keine Klarheit. Mehr Alarme ersetzen keine Priorisierung. Mehr KI ersetzt keine Verantwortung.
Wenn der Zeitpuffer kleiner wird, müssen Unternehmen erkennen, welche Schwachstellen in ihrer Umgebung tatsächlich gefährlich sind. Nicht jeder Befund, der in einem Scanner hochpoppt, ist automatisch ein relevantes Risiko. Und nicht jeder hohe CVSS-Wert ist in der eigenen Umgebung das größte Problem.
Die richtige Einordnung
Entscheidend ist der Kontext. Relevant sind nicht einzelne Schwachstellen, sondern die Frage, ob sie sich in der konkreten Umgebung zu einer realistischen Angriffskette verbinden lassen – etwa mit Zugriff auf kritische Daten, privilegierte Konten oder zentrale Geschäftsprozesse. Verteidigung muss deshalb genau diese Angriffsketten frühzeitig unterbrechen, bevor aus einzelnen Schwächen ein realer Schaden entsteht. Das Ziel kann nicht sein, alles gleichzeitig zu fixen, was ein Tool meldet. Das Ziel muss sein, die Kombinationen zu beseitigen, die aus einem Fund einen Vorfall machen.
KI erfindet Cybersecurity nicht neu. Sie nimmt ihr den zeitlichen Puffer. Wer daraus ableitet, dass jetzt alles mit KI gelöst werden muss, zieht die falsche Schlussfolgerung. Die richtige ist unbequemer: Wir müssen die Grundlagen schneller, konsequenter und kontextbezogener beherrschen. Denn in einer Welt, in der Schwachstellen schneller gefunden, Angriffe schneller angepasst und Täuschungen glaubwürdiger werden, gewinnt nicht derjenige, der die längste Schwachstellenliste abarbeitet. Es gewinnt derjenige, der die gefährlichsten Angriffsketten zuerst unterbricht.
Thomas Bail ist Geschäftsführer der Wolkenwerft GmbH. Mit 30 Jahren IT-Erfahrung legt er seinen Schwerpunkt auf Cybersecurity, insbesondere auf autonome Penetrationstests. Seine Leidenschaft liegt in der Reduzierung der Komplexität im Bereich Security, um Unternehmen einfacher und effizienter vor Bedrohungen zu schützen.
